ウェブサービスにおけるユーザー登録の実装方法

Question

ウェブサービスの作成にあたり、
ユーザー登録の実装方法で質問があります。

本人を確認する方法にて
調べた結果、以下の2つがあり、
どちらが良いのか？ その他、アドバイスを頂きたく質問します。

メールアドレスを入力するフォームから「登録」ボタンを押すと、

A：該当のメールアドレスに「登録用URL」を送り、そのURLをクリクして登録を続けてもらう
B：該当のメールアドレスに「6桁の番号」を送り、ページにもどり番号を入力して、登録を続けてもらう

以上になります。
コードに関する質問ではなく申し訳ございませんが、
どうぞよろしくお願い致します。

Comments

[javahack]

どちらも他人のメールアドレスを使ってのなりすまし登録を防ぐ方法としては有効で、書かれた内容だけでは優劣はつけられないと思います。
URLや番号を推測しずらいものにするなど気を付けたら、あとはご自分の好みで設計を進めても良いとおもいます。

[m.ts10806]

自身のサービスの要件に合う方で良いのでは。

[退会済みユーザー]

ありがとうございます。
またアドバイスも参考にさせて頂きます。
お忙しいところ恐れ入りました。

Answer 1

もしこの条件で私が作るのであれば、
メールアドレスに登録用URLと6桁の番号を送ります。

必ずしもAとBを選ばなければならないのであれば、Aを取ります。
これは6桁の数字の場合は重複する可能性が非常に高いからです。
Aのみの場合、おそらくHashとかを使って生成することになると思いますが、その桁数を256とか512等文字列数が多くなるように生成します。

Comments

[退会済みユーザー]

ご回答、ありがとうございます。
以下、初歩的なことかもしれませんが、
疑問があり質問させてください。

＞Aのみの場合、おそらくHashとかを使って生成することになると思いますが、
Hashを使用せず、アクセスするファイル名を長くすることと、ご指摘のHashを用いた場合では、セキュリティの観点から、やはり全然違うのでしょうか？

Hashを使う目的がイマイチ理解できておりません。
例えば、Hashを用いて、アクセスするファイル名の前に検問をするようなイメージでしょうか？

お忙しいところ恐れ入りますが、
どうぞよろしくお願い致します。

[Noin]

ん？ちょっと前提の認識がずれていそうな感じですね？

ファイル名ではなくクエリパラメータを用います。
uniqidに乱数を足してHash化します。
uid = md5(uniqid(rand(),1));

そして、http://hogehoge/usergen-check/?uid=$uid
みたいな感じのアドレスにするのが一般的ですね。

そしてそのページの中で確認の数字を入力して、付け合わせる感じの流れ

[退会済みユーザー]

ありがとうございます。理解できました。

別の箇所がわかっていなくて、混乱させて申し訳ございません。

おかげさまでこれから実装してまいります。ありがとうございました！